Kamu baru aja rilis model LLM open-source di Hugging Face. Lisensi Apache 2.0, README lengkap, community mulai fork dan deploy. Lalu suatu hari ada startup di Berlin yang pakai model kamu buat filter CV otomatis. Tiga bulan kemudian, otoritas EU mengirim notice: model kamu diklasifikasi sebagai GPAI with systemic risk. Nggak ada dokumentasi training data yang proper. Risk assessment nihil. Kamu sebagai kontributor open-source ikut kena jerat. Gimana bisa?
Ini bukan paranoia. EU AI Act — yang berlaku penuh Agustus 2026 untuk high-risk system — punya pasal khusus soal open-source AI. Ada pengecualian, ada kewajiban tersembunyi, dan ada jebakan hukum yang belum banyak dibahas komunitas open-source Indonesia. Ayo kita bedah satu per satu.
⚡ Jawaban Singkat / Key Takeaways
EU AI Act memberikan pengecualian terbatas untuk open-source AI model, tapi pengecualian ini nggak berlaku kalau model kamu termasuk GPAI with systemic risk atau digunakan downstream untuk high-risk use case. Kontributor open-source bisa kena liability kalau modelnya dimonetisasi atau masuk dalam rantai supply AI yang gagal comply. Pahami tiga garis batas: riset vs komersial, model mentah vs produk jadi, dan tanggung jawab upstream vs downstream.
EU AI Act dan Open Source: Yang Tertulis vs Realitanya
EU AI Act punya Recital 102-104 yang secara eksplisit menyebut pengecualian untuk open-source software. Tapi bunyinya spesifik: pengecualian berlaku buat “released under a free and open-source licence” dan hanya untuk aktivitas riset atau pengembangan non-komersial. Begitu model kamu disentuh pihak ketiga buat kepentingan bisnis, rantai compliance berubah total.
Masalahnya: definisi “open-source” di EU AI Act nggak sama dengan definisi OSI (Open Source Initiative). Regulator EU nggak pakai MIT License atau GPL sebagai acuan. Mereka bikin kriteria sendiri yang lebih ketat. Jadi jangan berasumsi model kamu otomatis exempt cuma karena ada logo MIT di repo kamu.
Tiga Golongan Open-Source AI di Bawah EU AI Act
Untuk memahami posisi model kamu, pahami dulu tiga golongan ini. Setiap golongan punya kewajiban berbeda, dan kesalahan klasifikasi bisa bikin kamu underprepare atau malah overshoot resource compliance.
1. Model Open Source Murni (Pure Research)
- Ciri-ciri: Dirilis untuk riset, tanpa monetisasi langsung, tersedia publik, reproducible training.
- Kewajiban: Hampir nihil. AI Act secara eksplisit mengecualikan pure research.
- Tapi: Begitu ada yang deploy model kamu untuk use case komersial, mereka (deployer) yang kena kewajiban, bukan kamu. Ini yang disebut downstream responsibility.
2. Model Open Source dalam Rantai Supply Komersial
- Ciri-ciri: Kamu rilis open-source, lalu startup atau perusahaan pakai sebagai komponen produk AI berbayar.
- Kewajiban: Di sini garis tanggung jawab mulai kabur. Kalau kamu tahu atau seharusnya tahu model kamu dipakai di regulated use case, kamu bisa dianggap sebagai upstream provider. Apalagi kalau kamu terlibat di fine-tuning atau konsultasi.
- Bahaya: Banyak kontributor open-source nggak sadar bahwa engagement mereka di forum, issue GitHub, atau pull request bisa jadi bukti keterlibatan dalam rantai supply AI.
3. GPAI with Systemic Risk (Model Besar)
- Ciri-ciri: Model dengan parameter di atas 10^25 FLOPS (training compute) atau yang ditunjuk EU Commission berdasarkan impact assessment.
- Kewajiban: Ini kelas paling berat. Wajib model evaluation, adversarial testing, cybersecurity assessment, serious incident reporting ke AI Office, dan dokumentasi yang jauh lebih detail.
- Fakta pahit: Llama, Mistral, Falcon, BLOOM, dan model besar lain kemungkinan masuk kategori ini. Bahkan kalau kamu open-source contributor.
Downstream Liability: Kenapa Kontributor Ikut Kena Getahnya
Ini adalah bagian paling kontroversial dari AI Act buat komunitas open-source. Konsep downstream liability menyatakan bahwa kalau model open-source kamu jadi fondasi produk AI yang gagal comply, regulator bisa merambat naik ke rantai supply untuk mencari siapa yang bertanggung jawab.
Skenario realistisnya: kamu bikin model computer vision open-source. Perusahaan X pakai buat sistem pengawasan karyawan di pabrik. Sistem ini melanggar hak privasi pekerja EU. Regulator audit, nemu model kamu tanpa bias testing documentation. Mereka tanya: siapa yang develop model ini? Kamu masuk radar. Bukan sebagai pelaku utama, tapi sebagai upstream provider yang gagal menyediakan dokumentasi minimum.
Pelajaran penting: dari awal, model open-source kamu harus dibekali Model Card, Data Provenance Report, dan Known Limitations Disclosure. Ini bukan cuma best practice, ini tameng hukum.
Yang Bisa Kamu Lakukan Sekarang Juga
Nggak perlu panik. Tapi jangan juga cuek. Untuk kontributor open-source, startup AI, dan AI researcher di Indonesia, ada langkah konkret yang bisa diambil:
- Audit model kamu sekarang: Tentukan apakah model kamu masuk kategori GPAI with systemic risk. Pakai threshold 10^25 FLOPS. Kalau di bawah itu, dokumentasi tetap perlu tapi bebannya lebih ringan.
- Buat Model Card standar: Gunakan template dari Hugging Face atau Google Model Card Toolkit. Sertakan: arsitektur model, dataset training, metric evaluasi, known bias, dan failure mode.
- Dokumentasikan data provenance: Catat dari mana data training berasal, preprocessing yang dilakukan, dan potensi bias yang teridentifikasi. Ini nanti jadi fondasi kalau ada audit.
- Sematkan EU AI Act disclaimer di repo: Tulis di README dan Model Card bahwa model ini untuk riset dan pengembangan. Kalau ada yang deploy di production untuk high-risk use case, mereka wajib melakukan compliance mandiri.
- Pisahkan jalur riset dan komersial: Kalau kamu ada rencana monetisasi model, bikin entitas hukum terpisah. Jangan campur repo riset pribadi dengan delivery komersial.
- Pantau downstream usage: Kamu nggak bisa kontrol semua orang yang pakai model open-source kamu, tapi kamu bisa dokumentasikan bahwa kamu sudah memberikan informasi yang cukup tentang batasan dan risiko model kamu.
Pengecualian yang Sering Disalahpahami
Banyak yang baca sekilas AI Act lalu menyimpulkan: “Open source aman, exempt semua.” Ini kesalahan besar. Pengecualian di AI Act sangat spesifik: hanya berlaku untuk aktivitas riset dan pengembangan non-komersial di mana output model tidak digunakan untuk mengambil keputusan yang mempengaruhi individu di EU.
Begitu downstream deployer pakai model kamu untuk use case yang diklasifikasikan high-risk, rantai compliance aktif. Dan kalau kamu sebagai upstream provider nggak menyediakan dokumentasi yang cukup, kamu bisa dianggap negligent. Di hukum EU, negligence bisa jadi dasar liability. Ini bukan teori. Ini prinsip yang sama yang dipakai di GDPR untuk data processor.
Baca juga: AI Act Mulai Diberlakukan Agustus 2026: Tim Kamu Bisa Kena Denda 35 Juta Euro Tanpa Checklist Ini untuk panduan compliance umum AI Act. Dan artikel ini: AI Open-Source di Healthcare, Finance, dan Legal: Kenapa Tim Enterprise Mulai Pindah yang membahas kenapa sektor regulated justru mulai beralih ke model open-source yang transparan.
Apa yang Membuat Open Source Justru Lebih Aman (Dan Lebih Sulit)
Di satu sisi, model open-source punya keunggulan compliance: arsitektur dan training data bisa diaudit penuh. Ini kebalikan dari API closed-source seperti GPT-4 di mana kamu nggak tahu detail internal model-nya. Regulator EU suka transparansi, dan open source secara inheren mendukung itu.
Tapi di sisi lain, model open-source punya rantai supply yang kompleks dan susah dilacak. Kalau Mistral rilis model open-weight, lalu ada yang fine-tune di atasnya, lalu ada lagi yang fine-tune di atas fine-tune, siapa yang bertanggung jawab menyediakan dokumentasi? Setiap titik di rantai ini secara teori punya kewajiban. Akibatnya, compliance jadi overhead yang signifikan untuk ekosistem open-source.
Ini paradoks: closed model mahal dan nggak transparan tapi rantai supply-nya sederhana. Open model murah dan transparan tapi rantai supply-nya bisa sangat panjang dan setiap node punya liability exposure.
Kesimpulan: Open Source Itu Pengecualian, Bukan Imunitas
EU AI Act memang memberi ruang untuk open-source AI. Tapi ruang itu sempit dan bersyarat. Kamu sebagai kontributor open-source, startup founder, atau AI researcher wajib memahami tiga hal: klasifikasi model kamu (pure research vs commercial supply chain vs GPAI systemic risk), batas pengecualian (riset non-komersial aja), dan liability downstream (dokumentasi minimum sebagai tameng hukum).
Jangan tunggu notifikasi dari regulator. Mulai audit model kamu sekarang. Tambahkan Model Card ke setiap repo Hugging Face kamu. Dokumentasikan data provenance. Dan yang paling penting: pahami bahwa open source memberikan kebebasan, bukan kekebalan.
Untuk update terbaru seputar regulasi AI, privacy, dan keamanan digital, subscribe newsletter kami di bawah. Kami kirim analisis teknis yang nggak cuma bikin kamu comply, tapi bikin kamu unggul.
